🇰🇷 한글 설명
GitLab EE의 16.4부터 18.11.2 버전에서 입력값 검증 미흡으로 인해 개발자 역할의 인증된 사용자가 다른 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있는 XSS 취약점이 존재합니다. 18.9.7, 18.10.6, 18.11.3 이후 버전에서는 해당 문제가 수정되었습니다.
💡 쉬운 설명
GitLab에서 입력 데이터를 제대로 검증하지 않아 개발자 권한의 사용자가 악성 코드를 삽입하여 다른 사용자의 계정을 장악할 수 있습니다. 이를 통해 중요한 프로젝트 정보 탈취나 조작이 가능합니다.
🇺🇸 원문 (English)
GitLab has remediated an issue in GitLab EE affecting all versions from 16.4 before 18.9.7, 18.10 before 18.10.6, and 18.11 before 18.11.3 that could have allowed an authenticated user with developer-role permissions to execute arbitrary JavaScript in other users' browsers due to improper input sanitization.
📍 영향받는 시스템
GitLab EE 16.4-18.9.6, 18.10.0-18.10.5, 18.11.0-18.11.2
⚔️ 공격 벡터
개발자 권한 사용자가 프로젝트 내 input field나 코멘트에 JavaScript 코드를 삽입하여 다른 사용자 접속 시 실행
🛡️ 대응 방법
GitLab을 18.9.7, 18.10.6, 18.11.3 이상으로 업그레이드
🔧 검증 코드
출력된 GitLab 버전이 영향받는 범위(16.4~18.11.2)에 속하면 취약하고, 18.9.7 이상(18.10.6, 18.11.3 등)이면 패치됨
gitlab-rake gitlab:env:info 2>/dev/null | grep -i 'gitlab version'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
GitLab 제품 보안 업데이트 권고
P4
📅 2026-06-05 · sec_notice
GitLab EE 제품에서 권한 우회 및 XSS 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 보안 위협을 방지하기 위해 최신 버전으로 업데이트를 수행해야 합니다.